What is CVE-2026-18353?
CVE-2026-18353 is a security flaw in PIA's SBOM upload endpoint where the unverified JWT `iss` claim is validated against an allowlist using Python's `urlparse` before OIDC discovery via `requests`. An attacker can exploit parsing discrepancies with special characters (e.g., backslash) to bypass the issuer allowlist and gain unauthorized access. Mitigation requires strict validation of the `iss` claim and fixing the inconsistency between `urlparse` and the `requests` library.
Azərbaycanca: CVE-2026-18353 PIA-nın SBOM yükləmə endpoint-ində JWT tokenin yoxlanılmamış `iss` sahəsinin `urlparse` ilə işlənməsindən qaynaqlanan təhlükəsizlik zəifliyidir. Təcavüzkar xüsusi simvollar (məsələn, backslash) vasitəsilə issuer allowlist-i keçərək icazəsiz əməliyyatlar həyata keçirə bilər. Bu problemi aradan qaldırmaq üçün JWT `iss` claim-inin ciddi şəkildə yoxlanılması və `urlparse` ilə `requests` kitabxanası arasındakı uyğunsuzluğun düzəldilməsi tövsiyə olunur.
Related CVEs
link basis: same weakness class CWE-287
FAQ2
How can an attacker bypass the issuer allowlist in CVE-2026-18353?
An attacker can exploit the parsing discrepancies between `urlparse` and the `requests` library by using special characters, such as a backslash, in the JWT `iss` claim to bypass the allowlist check.
What is the main mitigation recommended for CVE-2026-18353?
Strict validation of the JWT `iss` claim and fixing the inconsistency between `urlparse` and the `requests` library are recommended.
See also6
This explainer is AI-written from source data — skopnix's own reporting on this CVE; CVSS scores, vendors and versions are never invented. See NVD for the official record.